A viziközmű cégek kiberbiztonságára az utóbbi időben számos, főleg az USA-ban bekövetkezett incidens (pl. Veolia North America, Pennsylvania, Southern Water) világított rá jobban az ivóvíz-hálózatok kiberbiztonsági kitettségére. Ennek kapcsán nyilatkozta nemrég a Dragos alapító-vezérigazgatója, Rob Lee az S4X24 konferencián, hogy a viziközmű cégek OT rendszereinek kiberbiztonsági kockázatai a jövőben várhatóan jelentősen meg fognak nőni, mert egyre több cégnek kell ebben a szektorban lecserélnie a bátran antiknak nevezhető, ám éppen ezért nem IP hálózatra kötött rendszereit. Az új rendszerek azonban (ahogy azt már megszokhattuk az elmúlt lassan másfél évtizedben számos más iparágban) már IP-n fognak kommunikálni, ez azonban számos, a viziközmű-szektorban újnak számító biztonsági kockázatot is be fog hozni az egyenletbe.

Mindezeket és az elmúlt időszakban az amerikai viziközmű-cégeket érintő támadásokat figyelembe véve érthetőnek és indokoltnak látszik, hogy a DHS CISA és az FBI egy 27 oldalas útmutatót adott ki a viziközmű-szektor szervezetei számára, amiben a kiberbiztonsági incdensekre történő felkészülésben próbálja tanácsokkal ellátni ezeket a cégeket.

Az incidenskezelésben alapszinten jártas szakemberek számára ebben a publikációban nagy újdonságok nincsenek (a felkészülés, az észlelési és elemzési tevékenységek és kontrollok fontossága mellett a DHS CISA-nál illetve az FBI-nál elérhető elemzési és incidenskezelési támogatásról szóló fejezetek mellett az incidens felszámolása és a helyreállítás lépéseit ismertetik, valamint a viziközmű ISAC fontosságát hangsúlyozzák), felmerül azonban a kérdés, hogy mit is jelentenek ezek a hírek nekünk, itt, Magyarországon 2024-ben? Nos, ha abból indulunk ki, hogy a magyar viziközmű-hálózat állapota a legfinomabban szólva is súlyos problémákkal terhelt (két forrást is idézek, ezekből legalább az egyiket nem lehet azzal vádolni, hogy a témát felhasználva a kormányzatot akarná támadni, lévén a Századvég Gazdaságkutató Zrt. nem egy kifejezetten ellenzéki érzelmű szervezet), akkor nem teljesen alaptalanul feltételezhetjük, hogy ha a vízvezeték-hálózat súlyosan elavult, akkor a szektorban használt folyamatautomatizálási megoldások sem a legmodernebb rendszereket, amiket korszerű elvek és kiberbiztonsági ajánlások/követelmények mentén alakítottak volna ki. Sokkal valószínűbb, hogy az amerikai viziközmű cégekéhez hasonló, bátran antiknak nevezhető megoldások szolgálják ki a fogyasztókat. Ez egyben jelent komoly kockázatokat és a rövidesen tovább már nem halasztható felújítások során egy nagyon jó lehetőséget is arra vonatkozóan, hogy ne csak egy műszaki modernizálás történjen, hanem egyben az elérhető szakmai jó gyakorlatok és útmutatók alapján egy biztonságos, magas szinten automatizált viziközmű-hálózat épüljön ki. Vajon lesz erre igénye a tulajdonosoknak (önkormányzatok és állam)?